大型公司里面如何防止程序员接触到核心代码？

[changwei]

像 BAT 这类公司，假如我是刚刚入职的程序员，现在公司要我做一个专题模块，做好了要集成测试，这个专题模块要用户登录才能用，那么必须 include 这个 Passport 模块，而这个模块的源代码里面肯定有一些加密算法，私钥等等信息，不能让我们这些小程序员看到里面的代码，那么具体怎么做测试呢？他们如何保证核心业务代码的安全？

[knightdf]

那核心代码不是只能老板亲自写了？

[Infernalzero]

服务化接口，远程调用

[hitmanx]

瞎说啊。一般的比如可以做成库的形式吧，二进制+API 头文件;一些敏感的怕泄漏出去有人反汇编的可以直接以网络形式提供接口

[plantain]

私钥一般不写死的，可以配在环境变量里

[justfly]

为啥登陆要在代码里引入一个模块？

一个服务调用，你只要关注协议，不需要关注实现细节。

[changwei]

@hitmanx 那像 py ， php 这类脚本语言呢？
@justfly 服务调用有的是 RPC ，但很多情况下就是单纯的 include 啊，因为这种大公司框架应该是自己写的，像 Passport 这种关键而且用的最多的模块应该都是写在框架底层里面了吧
@Infernalzero 远程调用，就是类似于 webservice ？

[okudayukiko0]

PHP 可以加密啊。

[learnshare]

都是 SDK/API 化的，不会给你什么代码、数据库之类的东西

[binux]

加密算法看到就看到咯，秘钥开发一套，在部署的时候再加载一套就好了。
而且，如果是用户模块，除了代码，你没有数据库你怎么测试？

[chaegumi]

围观学习

[changwei]

@learnshare 像 php ， py ， perl 之类的脚本语言，除非像 php 可以编译成 opcode ，不然还是能看到代码啊，数据库肯定有测试机上面的数据库，字段，表结构什么的都还是能看到的把。

[shiny]

development test stage production 环境都不一样吧

[dexterlei]

这个回答可能有点跑题。
私以为，大型公司的核心财富并不仅仅在于他们的核心代码。组织最重要的组织结构等等，是能让系统运行起来的人，有了一套代码，要发展出与之匹配的生意模式和人员配给同样是大学问，也更加难以在短期内复制出来。而出来做生意，最终是成本和收益，对核心代码之类的保护也只能达到相对的强，没有完全攻破不了的防御，只要你能出得起那个成本。其实只要保证潜在的对手获得这个东西的成本会高于收益，你的东西自然就是安全的。
另外，能问出这个问题，总让人会怀疑有没有居心不良的想象

[choury]

开发的接触不到线上环境，只能操作测试数据库，运维没有数据库权限， dba 不能接触代码

[Zzzzzzzzz]

@changwei python 第一次 import 或者调用 compileall 后生成的 pyc 、 pyo 就是字节码， 可以直接交付， 而且 python 可以用 cython 编译成 binary, 这个更好一点, 基本上所有语言的 opcode 只要不做混淆对保护代码都没有什么卵用.

[marffin]

代码无所谓吧，随便看，不值钱

数据才值钱

[yangxiongwei]

走 rpc 的

[lynnworld]

环境变量不同

[seki]

泄漏代码可以入刑的，大公司的健全的法务团队不会错过这样的完成 kpi 的机会的

[intsilence]

楼上已经说了，都是 rpc 调用的。